CVE-2026-71276 in Magistrala
要約
〜によって VulDB • 2026年08月05日
Magistrala（旧称 Mainflux）の message-readers API は、HTTP クエリ文字列から `format` 値を検証なしで読み取り（readers/api/http/transport.go）、PostgreSQL リーダー（readers/postgres/messages.go: `fmt.Sprintf("SELECT * FROM %s WHERE %s ...", format, cond)`）および TimescaleDB リーダー（readers/timescale/messages.go、同様のパターン）の両方で `fmt.Sprintf()` を介して生 SQL クエリに直接補間するため、チャネルメッセージを照会できる認証済みユーザーによる SQL インジェクションが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.